Orca Security はルートテーブルを理解できない？

フォージビジョン Orca Security のサービスサイトがオープンしました。

こんにちは、Orca Security 担当の尾谷です。

昨年 8 月に、以下調査を行ったことがあります。

Orca Security はルートテーブルを見ていないじゃないか？パブリック IP アドレスが付与されているというだけで、Internet Facing と判断していないか？

調査の結果、Orca Security はルートテーブルを正しく理解できませんでした。
ただ、それから半年が経過して、Orca は Attack Path の改修や、Blast Radius の追加などエンハンス開発が行われました。

当時は存在しなかったアセットディテールページには Graph 機能が強化されています。
Graph 機能では、より正確にクラウドのリソースマップを描画できるようになっています。

本ブログでは、昨年の 8 月に調査した課題が解消されているのか？
再検証した結果をアウトプットします。

このサーバーはインターネットに接続できますか？

まずはみなさんに質問させていただきます。以下の図をご覧ください。
みなさんは、以下のサーバー (Instance) がインターネットに接続できると思いますか？

もし AWS に詳しい方でしたら、結果がお分かりなるかと思うので、本ブログの下部にあります ここまでのまとめ まで読み飛ばしてください。

VPC 内のインスタンスがインターネットに接続するための条件

AWS が提供する Amazon VPC は仮想ファイアウォールの役割をします。
そのため、条件をクリアしないとインターネットに接続ができません。

条件 1. インターネットゲートウェイ

VPC にはインターネットゲートウェイという出口をアタッチする必要がある。

上図ではインターネットゲートウェイがアタッチされているので、条件 1 はクリアーできています。

条件 2. サーバーがパブリック IP アドレスを持つ

サーバー (Instance) には一つのネットワークインターフェース (NIC のようなもの) が必ず自動でアタッチされる。アタッチされたネットワークインターフェースには、プライベート IP アドレスが必ず割り当てされるが、同時にパブリック IP アドレス (= グローバル IP アドレス) がアタッチされていないとインターネットに接続できない。これは、Elastic IP アドレス (固定) でも自動パブリック IP アドレスでも良い。

上図では、Elastic IP アドレスがアタッチされているので、条件 2 もクリアーできています。

条件 3. サブネットにインターネットに接続するためのルートテーブルが必要

サーバーはサブネットに起動するが、サブネットには一つのルートテーブルが必ずアタッチされる。ルートテーブルに、インターネット向けのルーティングが記載されていないとインターネット上にパケットが流れず、結果、インターネットに接続ができない。インターネット向けのルーティングがないサブネットはプライベートサブネットと呼ぶ。

上図では、サーバーがプライベートサブネットに起動しているので、インターネットに接続できません。

以上より、上図の構成ではサーバーはインターネットに接続できません。